Gestion opérationnelle

Maintien à jour de l’équipement

Des failles de sécurités dans le firmware de l’équipement peuvent permettre de contourner les mesures de sécurité et de prendre le contrôle de l’équipement. Afin de se prémunir des failles corrigées par l’éditeur, l’équipement doit être régulièrement mis à jour.

Sauvegardes régulières de la configuration

Une fausse manipulation, une correction ou la panne d’un équipement peuvent survenir, entraînant le besoin de rétablir la configuration pour la continuité de service, sur cet équipement ou un équipement neuf.
Afin de permettre un retour rapide à un état de fonctionnement en cas de besoin, une sauvegarde de la configuration de l’équipement doit être effectuée régulièrement.

Sécurité des sauvegardes

Les sauvegardes permettent de rétablir la configuration d’un équipement, la disponibilité des sauvegardes influe donc sur la disponibilité de l’équipement. Les sauvegardes contiennent également des informations sensibles telles que la configuration réseau ou les identifiants, dont la divulgation impacterait la sécurité des équipements et du réseau dans son ensemble.
Afin de garantir la confidentialité, l’intégrité et la disponibilité des sauvegardes, celles-ci doivent être stockées de façon sécurisée en conformité avec la politique de sauvegarde de l’entreprise.

Externalisation des sauvegardes

En cas d’incident sur le site, les sauvegardes risquent d’être détruites en même temps que l’équipement, impactant la reconstruction ultérieure de l’équipement. Pour garantir leur disponibilité, les sauvegardes devraient être externalisées, en conformité avec les PCA/PRA.

Restauration des sauvegardes

Pour s’assurer de l’intégrité des sauvegardes, valider et pratiquer régulièrement les procédures, la restauration des sauvegardes doit être documentée et testée a minima annuellement, en conformité avec les politiques de sauvegarde de l’entreprise.

Synchronisation temporelle

Lors d’une analyse des journaux, si les équipements ne disposent pas d’une source de temps cohérente, l’horodatage des journaux risque d’être incohérent et l’analyse inexacte.
Pour uniformiser le SI et permettre une étude globale en cas de besoin, l’équipement doit être synchronisé sur un serveur de temps réputé fiable et cohérent avec les autres équipements du SI. Si la journalisation de l’équipement est exportée sur une autre machine, cette dernière doit être synchronisée avec la même source de temps.

Externalisation des journaux

En cas de dysfonctionnement ou d’attaque, la fiabilité des journaux sur l’équipement ne peut plus être garantie. La rétention des journaux sur l’équipement ne peut par ailleurs pas être garantie.
Pour garantir leur disponibilité et permettre une analyse globale, les journaux doivent être externalisés sur un serveur de journaux tiers.

Analyser les journaux

Tracer les évènements permet de mener une investigation a posteriori en cas d’incident, mais la détection d’incidents en cours nécessite une analyse proactive des journaux.
Afin de détecter les tentatives d’accès non légitimes, ou les dysfonctionnements, il est recommandé de mettre en œuvre une analyse régulière (ou temps réel) des journaux.

Supervision par SNMP (v3)

Afin d’anticiper les risques liés à la disponibilité et les comportements anormaux de l’équipement, il est recommandé de superviser l’équipement par SNMP.
SNMP v1 et v2 ne sont par nature pas sécurisés, seule la communauté permettant de "restreindre" l’accès. Les versions 1 et 2 du protocole sont par ailleurs concernées par de nombreuses failles.
Si cette supervision est mise en place, la version 3 du protocole devra être utilisée. Par ailleurs, il est recommandé de ne pas utiliser la communauté par défaut "public".

Indicateurs surveillés

Une surconsommation des ressources peut conduire à une indisponibilité des équipements.
Pour prévenir une indisponibilité des équipements, il est recommandé de surveiller l’occupation CPU, RAM et espace disque de l’équipement, ainsi que le nombre de connexions VPN simultanées.

Monitoring long terme

Selon les usages, les équipements peuvent se trouver en limite/dépassement capacitaire dans des périodes données (phases de consolidations d’informations, attaques …​)
Pour repérer les comportements anormaux des équipements, il est recommandé de mettre en place un historique des indicateurs surveillés et de suivre leur évolution dans le temps.

Analyse de trafic réseau avec ERSPAN

Analyser le trafic réseau est une mesure de sécurité préventive, elle permet de dépanner le réseau, de détecter des anomalies ou du trafic malveillant.
Le port mirroring avec ERSPAN est une technique pour analyser le réseau, celle-ci permet d’envoyer une copie du trafic monitoré à un équipement distant qui pourra analyser les paquets.

Politique de mot de passe

La compromission de mot de passe utilisateur peut conduire à un accès illégitime au SI. Un mot de passe trop simple pourra être facilement trouvé lors d’une attaque de type brute force, par dictionnaire ou cassage de hash.
Afin de se prémunir contre une telle attaque, il est important de définir une politique de mot de passe au niveau organisationnel conformément au document (ANSSI-PG-078).

Utiliser un système d’authentification centralisé

Lorsqu’on a une flotte de routeur, la gestion des listes d’utilisateurs locale sur les routeurs devient vite fastidieuse à gérer. Le maintien d’une même liste d’utilisateurs dupliquée sur plusieurs routeurs peut mener à des erreurs et des oublis sur un des routeurs.
Pour éviter ces problèmes de sécurité, il convient de gérer la flotte de routeurs de manière centralisée.

Désactiver la mise en cache LDAP

Le système d’authentification centralisé permet la mise en cache des identifiants d’authentification pendant une durée configurable. Si un compte venait à être bloqué, changeait de groupe, ou voyait son mot de passe changé, l’authentification, avec les anciens identifiants, serait toujours possible durant le temps de mise en cache si le serveur n’est pas joignable.
Pour éviter d’autoriser une demande d’accès qui aurait été désactivée sur le serveur LDAP, il convient de désactiver la mise en cache des identifiants.
Attention, en cas d’absence de communication entre le routeur et l’annuaire centralisé, l’authentification ne sera plus possible.

Utiliser LDAPS uniquement

Les protocoles RADIUS et TACACS+ ne présentent pas un niveau de sécurité suffisant. Par ailleurs, il présente certaines limitations puisqu’il ne permet pas de définir des rôles pour les administrateurs.
Afin d’améliorer la sécurité du système d’authentification centralisé, il est nécessaire d’utiliser le protocole sécurisé et chiffré LDAPs.

Activer la protection de l’authentification

L’attaque par force brute est une méthode consistant à essayer toutes les combinaisons de mot de passe possibles afin de trouver les identifiants d’un utilisateur, et ainsi usurper son identité et accéder à une augmentation de privilèges.
Afin d’améliorer la sécurité du système d’authentification, il est nécessaire de protéger l’authentification des attaques par force brute.

Avertissement à l’authentification

L’affichage d’un message de notification d’utilisation du système avant de procéder à l’authentification est un élément de dissuasion pour toute personne voulant s’introduire illégalement dans le produit.
Cela permet la poursuite pénale des contrevenants et la démonstration d’une violation intentionnelle.